Informatiebeveiliging is een 'chefsache' voor elk accountantskantoor

Hoewel de brief formeel gericht is aan vergunninghouders, bevat zij een bredere boodschap die relevant is voor de gehele accountancysector. Dus ook voor jouw kantoor.

Niet een IT-vraagstuk, maar een bestuursverantwoordelijkheid

De belangrijkste observatie in de brief is dat veel organisaties beschikken over beleid, processen en maatregelen, maar dat de werking daarvan onvoldoende aantoonbaar is. De AFM ziet regelmatig een verschil tussen de mate waarin organisaties denken 'in control' te zijn en wat zij daadwerkelijk kunnen onderbouwen.

Dat is een belangrijke constatering. Informatiebeveiliging wordt nog vaak gezien als een onderwerp voor IT-specialisten, security officers of externe leveranciers. De AFM maakt duidelijk dat dit onvoldoende is. Uiteindelijk ligt de verantwoordelijkheid bij de beleidsbepalers en bestuurders van de organisatie.

Dat betekent niet dat bestuurders technische experts moeten worden. Wel moeten zij inzicht hebben in de belangrijkste risico's, de getroffen maatregelen, geconstateerde afwijkingen en de voortgang van verbeteracties.

Uitbesteden is niet hetzelfde als verantwoordelijkheid uitbesteden

Een tweede belangrijk thema in de brief betreft uitbesteding. De AFM benadrukt dat afhankelijkheid van IT-dienstverleners, cloudleveranciers en groepsorganisaties de verantwoordelijkheid van de accountantsorganisatie niet vermindert. Integendeel, dit vraagt juist meer regie en toezicht.

In de praktijk bestaat soms de neiging om ervan uit te gaan dat informatiebeveiliging goed geregeld is omdat een gerenommeerde leverancier wordt gebruikt of omdat andere accountantskantoren dat ook doen. Maar afspraken van andere kantoren kunnen verschillen en ook gerenommeerde leveranciers kunnen zaken niet goed op orde hebben. Denk maar aan dat ene telecombedrijf. Een kantoor blijft zelf verantwoordelijk voor de bescherming van cliëntgegevens, de continuïteit van de dienstverlening en de beheersing van risico's.

In control begint met risicomanagement

Om aantoonbaar 'in control' te zijn is meer nodig dan beleid alleen. Dat begint met een gestructureerde risicoafweging. Welke risico's loopt het kantoor? Welke maatregelen zijn daarvoor getroffen? Werken die maatregelen ook daadwerkelijk? En hoe wordt daarover gerapporteerd aan het bestuur?

Veel kantoren beschikken over technische rapportages en operationele informatie, maar zonder een expliciet risicokader is het lastig om te beoordelen of de belangrijkste risico's daadwerkelijk worden beheerst.

Daarbij zijn er ketenstructuren die in het geval van een incident tot een kettingreactie kunnen leiden. Als de Microsoftaccount niet kan worden gebruikt om in te loggen, hoe kom je dan nog bij je applicaties? Als de hostingomgeving bij de leverancier onderdeel wordt van een cyberaanval, hoelang duurt het dan voordat het kantoor weer operationeel is?

Wat kunnen kantoren nu doen?

Een goede eerste stap is om de sectorbrief gezamenlijk te bespreken binnen bestuur, compliance en informatiebeveiliging. Beoordeel vervolgens in hoeverre de vier door de AFM genoemde aandachtspunten zijn ingericht én aantoonbaar kunnen worden onderbouwd. Identificeer daarna de belangrijkste gaps en stel hiervoor een verbeterplan op.

Tot slot

Deze brief moet wat ons betreft niet worden gelezen als een nieuwe compliance-verplichting. De AFM wijst accountantsorganisaties vooral op een verantwoordelijkheid die zij al hadden.

Informatiebeveiliging is niet langer een IT-aangelegenheid. Het is chefsache. De juiste reactie is daarom niet de vraag hoe aan deze brief kan worden voldaan, maar of bestuurders daadwerkelijk zicht hebben op de risico's waarvoor zij verantwoordelijk zijn. Dat raakt niet alleen de continuïteit van het eigen kantoor, maar ook het vertrouwen in de accountancysector als geheel.

Meer informatie

• Accountantsorganisaties: zorg voor een passend raamwerk voor informatiebeveiliging (AFM)